Zur systematischen Bewertung von IT-Sicherheitsvorfällen in Kommunalverwaltungen wird der Auswirkungsgrad anhand der öffentlich belegbaren tatsächlichen Folgen eines Vorfalls eingeschätzt. Bewertet werden insbesondere Auswirkungen auf die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und IT-Systemen sowie auf die kommunale Aufgabenerfüllung.
Die vierstufige Skala von gering bis sehr hoch greift Grundgedanken der Risiko- und Business-Impact-Betrachtung des Bundesamts für Sicherheit in der Informationstechnik (BSI) auf und wurde für die nachträgliche Bewertung öffentlich bekannt gewordener IT-Sicherheitsvorfälle im kommunalen Kontext angepasst.
Grundsatz der Einstufung: Maßgeblich sind die tatsächlichen und öffentlich nachvollziehbaren Auswirkungen eines Vorfalls auf die Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit sowie auf die kommunale Aufgabenerfüllung. Die drei Grundwerte werden grundsätzlich gleichrangig betrachtet. Für die Einstufung kann bereits eine schwerwiegende Beeinträchtigung eines einzelnen Grundwerts ausschlaggebend sein. Entscheidend ist daher nicht allein, ob kommunale Leistungen ausfallen, sondern auch, ob Informationen unbefugt offengelegt, verändert, zerstört oder in ihrer Verlässlichkeit beeinträchtigt wurden.
Bei Beeinträchtigungen der Verfügbarkeit ist unerheblich, ob diese unmittelbar durch den Vorfall selbst oder durch notwendige Schutz-, Eindämmungs- oder Wiederherstellungsmaßnahmen entstehen. Maßgeblich ist die tatsächliche Auswirkung auf die kommunale Aufgabenerfüllung und die Verfügbarkeit kommunaler Leistungen. Dauer und Umfang eines Vorfalls werden dabei immer im Zusammenhang mit der Bedeutung der betroffenen Verwaltungsleistungen und Informationen betrachtet.
Auswirkungsgrad: Gering
Ein lokal begrenztes Ereignis ohne relevante Auswirkungen auf die kommunale Aufgabenerfüllung. Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen und Systemen sind allenfalls unerheblich beeinträchtigt. Der Vorfall kann im normalen IT-Betrieb bearbeitet werden.
Beispiele:
- Kurzzeitiger Ausfall eines einzelnen Arbeitsplatzes oder Geräts
- Erkannte Schwachstelle auf einem Einzel-PC, ohne dass eine Ausnutzung festgestellt wurde
- Malware- oder Phishing-E-Mail wird erkannt und abgewehrt, ohne dass es zu einer Kompromittierung kommt
- Kurzzeitige technische Störung ohne relevante Auswirkungen auf Verwaltungsleistungen
Auswirkungsgrad: Mittel
Der Vorfall verursacht eine erkennbare, aber begrenzte Beeinträchtigung einzelner Organisationseinheiten, Arbeitsplätze oder Fachverfahren. Verwaltungsleistungen können verzögert oder vorübergehend eingeschränkt sein. Vertraulichkeit oder Integrität können in begrenztem Umfang betroffen sein, ohne dass schwerwiegende Folgen erkennbar sind. Wesentliche Aufgaben bleiben insgesamt verfügbar.
Beispiele:
- Mehrstündiger Ausfall eines einzelnen Fachverfahrens
- Ausfall einer Online-Dienstleistung, während alternative Bearbeitungswege weiterhin zur Verfügung stehen
- Lokal begrenzte Malware-Infektion mit schneller Eindämmung
- Vorübergehende Beeinträchtigung der Datenintegrität eines Fachsystems mit kurzfristig möglicher Wiederherstellung
- Begrenzte Kompromittierung personenbezogener Daten ohne erkennbar schwerwiegende Folgen für die Betroffenen
Auswirkungsgrad: Hoch
Mindestens einer der Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit ist erheblich beeinträchtigt. Wichtige Verwaltungsleistungen können zeitweise nicht oder nur eingeschränkt verfügbar sein, schutzbedürftige Informationen können in erheblichem Umfang betroffen sein oder wichtige Verwaltungsdaten müssen mit erheblichem Aufwand wiederhergestellt werden. Die Auswirkungen sind schwerwiegend, bleiben insgesamt jedoch noch begrenzt und erreichen kein außergewöhnliches Ausmaß.
Bei Beeinträchtigungen der Verfügbarkeit bleibt die Verwaltung insgesamt handlungsfähig. Wesentliche kommunale Leistungen können weiterhin regulär oder mit begrenzten Ersatzmaßnahmen erbracht werden.
Beispiele:
- Längerer Ausfall mehrerer wichtiger Fachverfahren
- Erhebliche Einschränkungen im Bürgerbüro, Sozialamt, Jugendamt oder einer anderen wesentlichen Organisationseinheit, während andere zentrale Verwaltungsleistungen weiter verfügbar bleiben
- Ransomware-Befall eines abgegrenzten Netz- oder Serverbereichs mit erheblichen Auswirkungen auf einzelne Verwaltungsbereiche
- Erheblicher Abfluss personenbezogener oder besonders schutzbedürftiger Daten
- Manipulation oder Verlust wichtiger Verwaltungsdaten mit aufwendiger Wiederherstellung
- IT-Ausfall in einem zeitkritischen Verwaltungsbereich, beispielsweise dem Wahlamt unmittelbar vor einer Wahl
- Ausfall eines kommunalen IT-Dienstleisters mit erheblichen, aber funktional oder zeitlich begrenzten Auswirkungen auf mehrere Kommunen
Auswirkungsgrad: Sehr hoch
Mindestens einer der Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit ist außergewöhnlich schwer beeinträchtigt. Der Vorfall hat weitreichende Folgen für die kommunale Aufgabenerfüllung, für betroffene Personen oder für die Verlässlichkeit zentraler Verwaltungsinformationen.
Eine sehr hohe Beeinträchtigung der Verfügbarkeit liegt insbesondere vor, wenn wesentliche kommunale Leistungen in größerem Umfang nicht mehr verfügbar sind oder nur noch über einen ausgeprägten Not- oder Ersatzbetrieb erbracht werden können. Für die Einstufung ist unerheblich, ob die Einschränkungen unmittelbar durch den Vorfall selbst oder durch notwendige Schutz-, Eindämmungs- oder Wiederherstellungsmaßnahmen verursacht werden.
Eine sehr hohe Beeinträchtigung der Vertraulichkeit kann auch ohne umfassenden Betriebsstillstand vorliegen, wenn besonders sensible oder umfangreiche Datenbestände unbefugt offengelegt, abgeflossen oder veröffentlicht wurden und daraus schwerwiegende Folgen für eine große Zahl betroffener Personen entstehen können.
Eine sehr hohe Beeinträchtigung der Integrität kann vorliegen, wenn zentrale Register, Fachverfahrensdaten oder andere wesentliche Verwaltungsinformationen in erheblichem Umfang manipuliert, zerstört oder in ihrer Verlässlichkeit so beeinträchtigt wurden, dass ihre Richtigkeit nicht mehr zuverlässig festgestellt werden kann.
Typische Indikatoren sind ein umfangreicher oder verwaltungsweiter Notbetrieb, die zeitweise Nichtverfügbarkeit zahlreicher wichtiger Verwaltungsleistungen, eine langwierige Wiederherstellung zentraler IT-Strukturen, ein außergewöhnlich schwerer Datenabfluss oder eine schwerwiegende Beeinträchtigung zentraler Verwaltungsdaten. Die Aktivierung einer besonderen Aufbauorganisation oder eines Krisenstabs kann ein zusätzlicher Hinweis sein, ist für die Einstufung jedoch nicht zwingend erforderlich.
Beispiele:
- Vollständige oder weitgehende Abschaltung des Verwaltungsnetzes mit erheblichen Auswirkungen auf die Erbringung kommunaler Leistungen
- Zahlreiche Fachverfahren, E-Mail, Online-Dienste und zentrale Kommunikationsdienste sind gleichzeitig nicht verfügbar
- Wesentliche Verwaltungsleistungen, beispielsweise Meldewesen, Standesamt, Sozialleistungen oder Kfz-Angelegenheiten, können über einen längeren Zeitraum nicht oder nur über Not- und Ersatzverfahren erbracht werden
- Umfassende Verschlüsselung, Zerstörung oder Neuaufsetzung zentraler IT-Infrastruktur mit weitreichenden Auswirkungen auf die Verwaltungsarbeit
- Umfangreicher Abfluss oder Veröffentlichung besonders sensibler Daten mit schwerwiegenden Folgen für eine große Zahl betroffener Personen
- Schwerwiegende Manipulation zentraler Register oder Verwaltungsdaten, deren Richtigkeit nicht mehr zuverlässig festgestellt werden kann
- Ausfall eines zentralen kommunalen IT-Dienstleisters mit weitreichenden Auswirkungen auf die Verwaltungsleistungen zahlreicher Kommunen
Abgrenzung zwischen „hoch“ und „sehr hoch“
Die Einstufung richtet sich nach der schwersten belegten Auswirkung auf Vertraulichkeit, Integrität oder Verfügbarkeit sowie deren Folgen für die kommunale Aufgabenerfüllung:
- Hoch: Mindestens ein Grundwert ist erheblich beeinträchtigt. Wichtige Verwaltungsleistungen können beispielsweise zeitweise ausfallen, schutzbedürftige Daten können in erheblichem Umfang betroffen sein oder wichtige Verwaltungsdaten müssen aufwendig wiederhergestellt werden. Die Auswirkungen bleiben jedoch insgesamt begrenzt und erreichen noch kein außergewöhnliches Ausmaß.
- Sehr hoch: Mindestens ein Grundwert ist außergewöhnlich schwer beeinträchtigt. Dies kann insbesondere bei einem weitreichenden Ausfall wesentlicher Verwaltungsleistungen, einem umfangreichen Not- oder Ersatzbetrieb, dem außergewöhnlich umfangreichen Abfluss besonders schutzbedürftiger Daten oder einer schwerwiegenden Manipulation zentraler Verwaltungsdaten vorliegen.
Für die Bewertung der Verfügbarkeit ist nicht entscheidend, wodurch der Leistungsausfall verursacht wurde. Eine vorsorgliche Abschaltung zur Eindämmung eines Angriffs kann daher denselben Auswirkungsgrad haben wie ein unmittelbar durch Schadsoftware verursachter Ausfall, wenn die Folgen für Verwaltung sowie Bürgerinnen und Bürger vergleichbar sind.
Die Dauer eines Vorfalls ist ebenfalls kein allein entscheidendes Kriterium. Ein kurzer Ausfall kann beispielsweise unmittelbar vor einer Wahl erhebliche Folgen haben, während ein mehrtägiger Ausfall eines wenig zeitkritischen Fachverfahrens eine geringere Auswirkung haben kann. Entscheidend ist stets die Kombination aus Umfang, Dauer, Bedeutung der betroffenen Verwaltungsleistungen und Informationen, vorhandenen Ersatzverfahren sowie den Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
